緊急PHPに致命的な脆弱性（CVSS 9.2）。エックスサーバーが告知を更新。利用者のサーバーに緩和策を順次適用、修正版の公開後は各PHPバージョンに適用予定最新情報 ›
無料で相談する
ホーム › ブログ › レンタルサーバー

レンタルサーバー各社のPHP脆弱性（php2shell）への対応状況まとめ

公開：10/21 21:22更新 10/21 22:21（日本時間）Webセキュリティ診断センター 編集部
#php2shell#PHP#レンタルサーバー
この記事の要点（2026年10月21日 21:10〜21:20ごろ確認）
  • 各社の公式サイトを開いて確認したところ、PHPの脆弱性への対応だと明記していたのはKAGOYAとロリポップ！でした。
  • エックスサーバー（シン・レンタルサーバー）、さくら、ConoHa WING、カラフルボックス、お名前.comは、停止やメンテナンスを告知していますが、告知の中にPHPという言葉はありません。mixhostでは関連しそうな告知が見つかりませんでした。
  • 共用サーバーのPHP本体はサーバー会社が更新します。利用者がやるのは、管理画面でPHPのバージョンを確かめ、8.1以前なら切り替えることです。
目次
  1. この記事の見方
  2. 各社の対応状況（一覧）
  3. 各社の告知の中身
  4. 共用サーバーの利用者が自分でやること
  5. よくある質問

この記事の見方

PHP本体に重大な脆弱性が2件見つかり、修正版が2026年10月21日 23:00（日本時間）に公開される予定です［php.net］。通称「php2shell」、CVE番号はCVE-2026-109618 / CVE-2026-109619とされています（詳しくは解説記事）。

この記事では、国内の主なレンタルサーバー会社の公式サイトに出ている告知だけをまとめました。確認したのは2026年10月21日 21:10〜21:20ごろ（日本時間）です。日時は各社のページに書かれている通りに載せています。報道やSNSの情報は含めていません。各社の状況は刻々と変わるため、最新の内容は各社のページで確かめてください。

「PHPの記載なし」の読み方
告知にPHPと書かれていないことは、その会社が対応していないという意味ではありません。理由を書かずにメンテナンスを告知している会社もあります。この記事では、告知に書かれていることだけを載せています。

各社の対応状況（一覧）

各社の公式告知の状況。PHPを名指しして告知はKAGOYAとロリポップ。メンテナンスや停止を告知しPHPの記載がないのはエックスサーバー、シン・レンタルサーバー、さくら、ConoHa WING、カラフルボックス、お名前.com。関連しそうな告知が見つからないのはmixhost
図1 告知にPHPと書かれているかで分けた各社の状況
サーバー告知の内容ページに書かれた日時PHPの名指し
KAGOYAPHPの脆弱性について、自社サービスへの影響を告知。レンタルサーバープランのPHP 8.2〜8.5系は、修正版を確認してから順次アップデートする予定掲載2026.10.21、更新10月21日 18時20分あり（CVE番号も記載）
ロリポップ！PHPの脆弱性への予防措置として、サービスサイトやユーザー専用ページなどを順次停止掲載2026/10/21（時刻の記載なし）あり
エックスサーバー予防的な安全対策として、公式サイトやサーバーパネルなどを一時停止。利用者のサーバーは稼働を続ける。21:15 の更新で、利用者のサーバーにも緩和策を含む安全対策を順次適用中で、修正版の公開後は提供している各PHPバージョンに公式の修正版や独自の修正を順次適用する予定と追記。管理画面の再開後に利用者へ追加の対策を依頼する場合がある開始10月21日（水）16:00、最終更新 同日 21:15本文ではなし。よくある質問の中で「各PHPバージョン」への修正版の適用に触れている
シン・レンタルサーバー公式サイトを開くと、エックスサーバーと同じ一時停止の告知が表示される同上なし
さくらのレンタルサーバ緊急メンテナンスを実施中レンタルサーバ・マネージドサーバ：10月21日(水) 13:00〜10月22日(木) 8:00頃なし（理由の記載なし）
ConoHa WING【緊急メンテナンス】サーバーメンテナンス。作業内容は「システムの保守作業」10月21日(水) 19時00分〜10月22日(木) 10時00分なし
カラフルボックス全サーバーでシステムアップデート（セキュリティメンテナンス）を順次実施予定10/22 00:00以降、最終更新2026-10-21 14:34なし
お名前.comレンタルサーバー【緊急】サーバーメンテナンス。作業内容は「システムの保守作業」10月21日(水) 19時00分〜10月22日(木) 10時00分なし
mixhost確認時点で、PHPや脆弱性に関する告知は見つからず。障害・メンテナンス情報には21日の緊急メンテナンス（目的は「サーバー安定化」）が完了と掲載10月21日 3:00 PM〜7:00 PM予定、6:00 PMに完了と更新なし

各社の告知の中身

KAGOYA

告知の題名は「PHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）に関する当社サービスへの影響について」です。CVE番号まで書いているのは、確認した中ではKAGOYAだけでした。

同じ日に「サポートセンターへのお問い合わせ状況について」も出ています。脆弱性への対応状況などの問い合わせが増えて電話がつながりにくく、メールの回答も遅れているとのことです。この告知の中でKAGOYAは、現時点で利用者に重大なセキュリティインシデントや情報漏えいは確認していないとしています。

ロリポップ！

題名は「【重要】PHPの脆弱性への予防措置に伴うメンテナンス実施のお知らせ」です。告知の中で、PHPのセキュリティリリースが2026年10月21日 23時00分（日本時間）に公開予定であることに触れています。

サイトを公開したままにしておけるかは、ロリポップの判断しだいということになります。サイトが表示されなくなったときは、まずこの告知を確かめてください。

エックスサーバー・シン・レンタルサーバー

エックスサーバーの公式サイトは、確認時点でアクセスするとエラー（503）になり、「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」が表示されました。シン・レンタルサーバーの公式サイトでも、同じエックスサーバー株式会社名義の告知が表示されました。

サーバーパネルに入れないため、停止中は利用者が自分でPHPのバージョンを切り替えることができません。再開したら、すぐに確認できるよう準備しておくのが現実的です。

さくらのレンタルサーバ

「さくらのレンタルサーバ・さくらのVPS緊急メンテナンス実施のお知らせ」が出ています。レンタルサーバ（さくらのメールボックスを含む）、マネージドサーバ、リセール向けサービスは10月21日(水) 13:00〜10月22日(木) 8:00頃、VPSとVPS for Windows Serverは10月21日(水) 15:00〜10月22日(木) 18:00頃です。理由は書かれておらず、PHPへの言及もありません。接続できないときは時間をおいて試すよう案内しています。

ConoHa WING・お名前.comレンタルサーバー

どちらも「【緊急】」と付いたサーバーメンテナンスを告知しています。時間はどちらも10月21日(水) 19時00分〜10月22日(木) 10時00分で、作業内容は「システムの保守作業」です。終了時間は前後する可能性があるとしています。PHPへの言及はありません。お名前.comの対象は、レンタルサーバー（ベーシック・RSプラン・AIホームページパック）と共用サーバーSD、ホームページエディターの利用者です。

カラフルボックス

サーバーステータスのページに「【メンテナンス】サーバーシステムおよびセキュリティメンテナンスのお知らせ(予定)」が出ています。10月22日 00:00以降に全サーバーで順次システムアップデートを行い、各サーバーで10分程度、Webサイトの表示やメールの送受信が瞬断する場合があるとのことです。PHPへの言及はありません。

mixhost

お知らせ一覧の最新は10月1日付けのもので、PHPや今回の脆弱性に関する告知は見つかりませんでした。障害・メンテナンス情報のページには、21日の3:00 PM〜7:00 PMに一部サーバー（ikサーバー）で緊急メンテナンスを行い、6:00 PMに完了したとあります。目的は「サーバー安定化」と書かれています。

共用サーバーの利用者が自分でやること

共用のレンタルサーバーでは、PHP本体の更新はサーバー会社が行います。ただし、どのバージョンのPHPを使うかは、多くの場合、利用者が管理画面で選んでいます。サポートが終わった古いバージョンを選んだままだと、サーバー会社が修正版を入れても、そのサイトには届かないおそれがあります。

共用サーバーの利用者がやること。管理画面でPHPバージョンを確認し、8.1以前なら8.4か8.5へ切り替え、8.2から8.5ならサーバー会社の修正版適用の告知を確認し、最後にサイトの表示とフォームを確認する
図2 共用サーバーの利用者がやること
  1. 管理画面でPHPのバージョンを確かめる：サーバーパネルやコントロールパネルの「PHPバージョン設定」などで見られます。WordPressなら「ツール」→「サイトヘルス」→「情報」→「サーバー」にも表示されます。
  2. 8.1以前なら切り替える：PHP 8.1以前はサポートが終わっていて、セキュリティの修正が出ません［php.net］。8.2も2026年12月31日でセキュリティサポートが終わるので［php.net］、切り替えるなら8.4か8.5がおすすめです。古いテーマやプラグインが動かなくなることがあるため、先にバックアップを取り、切り替えた直後に表示を確かめます。
  3. サーバー会社の「適用した」という告知を確かめる：8.2〜8.5を使っている場合は、サーバー会社が修正版を入れるのを待つことになります。海外のセキュリティ企業Patchstackも、マネージドホスティングの利用者は、いつ修正版を適用するかをホスティング会社に聞くよう勧めています。
  4. サイトの表示とフォームを確かめる：PHPの切り替えやサーバー会社のメンテナンスのあとに、トップページ、問い合わせフォーム、管理画面へのログインを確かめます。
管理画面が止まっている会社では
エックスサーバー（シン・レンタルサーバー）のように管理画面を止めている会社では、再開するまでPHPのバージョンを切り替えられません。ロリポップ！のユーザー専用ページも順次停止されています。再開の告知を待ち、再開したらすぐに確認してください。

古いサーバーでは新しいPHPを選べないこともあります。その場合は、新しいサーバーへの引っ越しが必要です。手順は「WordPressのサーバー移行（引っ越し）手順」にまとめています。

よくある質問

サーバー会社がメンテナンスをしていれば、何もしなくていいですか？

PHP本体の更新はサーバー会社に任せられますが、管理画面で選んでいるPHPのバージョンは利用者の側で確かめてください。8.1以前を選んでいる場合は、切り替えが必要です。

告知にPHPと書いていない会社は、対応していないのですか？

そうとは限りません。理由を書かずにメンテナンスを告知している会社もあります。気になる場合は、各社の告知の続報を確かめてください。

WordPressやプラグインを最新にすれば大丈夫ですか？

今回はPHP本体の問題なので、WordPressやプラグインの更新だけでは防げません。サーバーのPHPが修正版になっているかが大事です。

PHPの確認と切り替えをお手伝いします
Webセキュリティ診断センターでは、管理画面でのPHPバージョンの確認、切り替えにともなうWordPressやプラグインの修正、新しいサーバーへの引っ越しをお受けしています。無料相談はこちら

参考にした情報

貴社のサイトに合った対応をご案内します！
まずは、お気軽にご相談ください。

お問い合わせ・お見積りはこちら
無料で相談する
脆弱性の解説を読む移行の見積りを依頼

＼ 専門スタッフが対応します ／

無料で相談する最新情報を見る